Методика
Методология рейтинга
Как рассчитывается индекс 0–100, откуда берутся данные и по каким правилам компания попадает в рейтинг компаний по аудиту ИБ.
Как рассчитывается индекс
Итоговый индекс каждой компании в диапазоне 0–100 складывается из шести критериев с фиксированным весом. Расчёт не зависит от коммерческих договорённостей — позиция в общем рейтинге не покупается, подробнее об этом в редакционной политике.
| Критерий | Вес | Что именно оценивается |
|---|---|---|
| Экспертные сигналы и исследования | 25% | Публичные CVE, найденные командой; участие в расследовании инцидентов как технических экспертов; авторские технические публикации |
| Подтверждённые кейсы | 20% | Проекты с описанием задачи, применённой методологии и результата, без раскрытия названия клиента |
| Лицензии и сертификации команды | 20% | Лицензии ФСТЭК/ФСБ там, где применимо к профилю компании; сертификации специалистов — OSCP, CEH, eJPT и аналогичные |
| Отраслевая специализация | 15% | Глубина работы с конкретной вертикалью — финтех, крипто, промышленность, госсектор — против общего охвата без фокуса |
| Прозрачность формата отчёта и цены | 10% | Отчёт с доказательством эксплуатации (PoC) и CVSS-оценкой против списка находок без приоритизации; открытость ценовых ориентиров |
| Регуляторное соответствие | 10% | Работа по требованиям 152-ФЗ, ГОСТ Р 57580, PCI DSS, положений Банка России 851-П/821-П/757-П |
Источники данных
- Сайты компаний и их публичные описания услуг
- Официальные реестры лицензий — реестр лицензий ФСТЭК России
- Открытые базы уязвимостей — банк данных угроз безопасности информации ФСТЭК
- Публикации в деловых и профильных отраслевых изданиях
О точности числовых показателей
Там, где точные цифры не подтверждены публичным первоисточником, это указано в тексте прямо. Показатели автоматизации операций и уровня ЦОД приведены как заявленные технические характеристики компаний, а не как проверенные редакцией измерения. Рейтинг не восполняет отсутствие данных предположениями: в сравнительной таблице такие поля помечены как «нет данных».
Критерии включения компании в рейтинг
Компания попадает в общий рейтинг, если соответствует всем пунктам.
- Оказывает услуги аудита ИБ, пентеста, Red Teaming или смежные offensive-услуги на коммерческой основе в России.
- Имеет публично проверяемое присутствие: работающий сайт с описанием услуг, контактные данные юридического лица.
- По компании есть минимум один независимый от неё самой источник информации — упоминание в отраслевом издании, независимом рейтинге или официальном реестре.
- Компания не находится под действующими санкциями регуляторов, которые ограничивают её право оказывать услуги ИБ.
Отсутствие компании в рейтинге не означает автоматически, что она хуже присутствующих — рынок шире десяти позиций, список периодически пересматривается и дополняется. Заявку на включение можно подать на странице добавления компании.
Как часто обновляется рейтинг
Пересчёт индекса и проверка актуальности данных — раз в квартал. Дата последнего обновления указана на главной странице рейтинга.